バックグラウンド: 検索インデックスの暗号化のプロセス

システム管理者は、[Encrypt Search Indexes]を有効にしてこの機能を有効にし、Shield Platform EncryptionでDEK(データ暗号化鍵)を作成および保存するように求めます。DEKが有効になると、検索インデックスの暗号化が開始されます。レコードが作成または編集されると、暗号化サービスは DEK (TLS で暗号化されたチャネルを介してキャッシュまたは Shield KMS から取得) を使用して、AES-256 とランダム初期化ベクトル (IV) でデータを暗号化します。その後、キー ID と IV が検索インデックスに保存されます。検索では、関連するインデックスセグメントが開かれ、鍵 ID と IV が読み取られ、処理前にデータが復号化されます。

更新された検索インデックススフレームワークを使用している組織では、このプロセスが合理化され、特定の暗号化ポリシーがなくても、すべての項目のすべてのインデックスが自動的に暗号化されます。システム管理者は、暗号化のオン/オフ、新しいルート鍵の生成、新しい DEK の生成を行ってこれを管理できます。

まだ更新されたフレームワークを使用していない組織では、セキュリティ管理者が [設定] で検索インデックス暗号化を有効にする必要があります。これには、「検索インデックス」種別のテナントの秘密を作成し、「検索インデックスの暗号化」を有効にして、最後に暗号化する特定のフィールドとファイルを選択して暗号化ポリシーを構成します。この設定では、組織固有の HSM 派生鍵がテナントの秘密からオンデマンドで生成され、検索エンジンのキャッシュに安全に渡されます。

メモ Salesforce システム管理者が項目の暗号化を無効にすると、暗号化されていたすべてのインデックスセグメントの暗号化が解除され、鍵 ID は Null に設定されます。このプロセスには最大 7 日間かかります。